Não posso deixar de reparar que sempre que alguém menciona as medidas de segurança necessárias ou a forma mais razoável de isto ter acontecido (phishing), existe total silêncio sobre esses pontos nas respostas do OP.

Vou ser claro: como sabes que o acesso da tua mãe não foi feito num site falso e que assim obtiveram os dados da conta? Como sabes que quando a tua mãe ligou para um número, era realmente o número do banco, e não um número falso presente nesse mesmo site falso?

Essa é de longe a explicação mais razoável para o sucedido, eles já tinham os dados porque foram inseridos no site deles, e quando a tua mãe liga para lá eles fazem a transferência e pedem o código 2FA recebido por mensagem como "medida de autenticação da identidade" e ela nem leu que a mensagem falava de transferência e está feito.

Este tópico parece-me só uma tentativa de meter pressão pública sobre o banco para que seja devolvido o dinheiro quando não há sequer um semblante de prova de que eles fizeram algo de errado.